CVE-2026-100611

Capgo (capgo.app backend, versiyalar ≤ 12.261.0) apikey_manager təşkilat rolunun yeni yaradılmış API açarlarına hansı rolları bağlaya biləcəyini düzgün məhdudlaşdırmır. Yalnız apikey_manager (org.manage_apikeys və org.read icazələri) hüquqlarına malik autentifikasiya olunmuş istifadəçi JWT sessiyası ilə POST /apikey sorğusunu göndərdikdə, tətbiq edilən yeganə yoxlamalar org.manage_apikeys icazəsi, təyin edilə bilən rol adlarının sabit imtina siyahısı (public/apikey/scope.ts faylında APIKEY_MANAGER_DENIED_ASSIGNABLE_ROLES) və createRoleBindingForPrincipal funksiyasındakı (private/role_bindings.ts) prioritet dərəcəsinin müqayisəsidir. Sorğunu göndərən şəxsin təyin olunan rol tərəfindən verilən icazələrə həqiqətən sahib olub-olmadığını yoxlayan heç bir yoxlama mövcud deyil. İmtina siyahısında app_developer, app_uploader, channel_developer və channel_uploader deploy rollarının olmaması və apikey_manager roluna bu rolların dərəcələrindən (68, 66, 58, 57) daha yüksək olan 78 prioriteti verildiyi üçün dərəcə yoxlaması da uğurla tamamlanır. Nəticədə, bundle yükləyə və ya kanalları təbliğ edə bilməyən bir apikey_manager, deploy roluna bağlanmış API açarı yarada və ondan istifadə edərək təşkilatın proqramlarının bütün son istifadəçilərinə ixtiyari OTA JavaScript yeniləmələri göndərə bilər. Məsləhət dərc edildiyi vaxta qədər heç bir düzəliş edilmiş versiya mövcud olmayıb.